Un an de CIANum : ce que le conseil de l'IA a vraiment dit sur le RGPD et l'IA agentique

Installé le 23 juillet 2025, le Conseil national de l'IA et du numérique (CIANum) souffle sa première bougie. Silicon.fr en dresse le bilan : deux rapports, cinq notes techniques, et une ligne de conduite qui touche directement les DPO — de la tension entre RGPD et IA agentique jusqu'à la souveraineté numérique de l'État.

Ce qui s'est passé

En un an, le CIANum, nouvelle incarnation du Conseil national du numérique, a publié cinq notes et deux rapports. La première note, en février 2026, propose de préférer le terme « IA agentique » à « agents IA » et distingue cinq degrés d'autonomie, de l'automatisation simple aux agents entièrement autonomes. En avril, une note réagit au lancement de Claude Mythos par Anthropic, alors réservé à une quarantaine d'organisations quasi exclusivement américaines — un épisode que Leto avait déjà couvert à l'époque. En juin, une note plus alarmiste suit la suspension unilatérale de l'accès à Fable 5 et Mythos 5 pour les non-Américains, que le CIANum lit comme une généralisation pratique du risque de « kill switch » pour l'autonomie numérique européenne.

La note la plus récente, publiée en juillet, s'attaque directement à la friction entre RGPD et IA agentique : finalité difficile à circonscrire, licéité fragilisée par l'autonomie des systèmes, minimisation mise à mal par la mobilisation massive de données, exactitude menacée par la nature probabiliste des modèles. Le CIANum y pointe aussi la difficulté à exercer les droits des personnes concernées quand la mémoire des agents se synchronise entre eux, et appelle à cloisonner cette mémoire agent par agent.

Pourquoi c'est important

Ce n'est pas la première fois qu'une institution française consultative pointe cette collision entre gouvernance de l'IA et protection des données : la CNIL et le CIANum avaient déjà publié une note commune sur les risques de l'IA agentique pour la protection des données personnelles, évoquant cascades d'erreurs et vide de responsabilité que l'AI Act n'a pas comblé. Le CIANum confirme ici, avec un an de recul, que le sujet ne se limite pas à un incident isolé : c'est une tension structurelle entre deux textes qui n'ont pas été pensés l'un pour l'autre. La Commission européenne et le CEPD travaillent d'ailleurs sur des lignes directrices communes RGPD / AI Act, encore attendues.

Le bilan touche aussi à la gouvernance IA au sens large : rapport sur la souveraineté numérique publié en mai (dépendance persistante aux solutions propriétaires étrangères, DINUM sous-dotée), rapport sur l'IA à l'école en juin, et note sur la protection des mineurs en ligne en mars, où le CIANum critique une approche française trop centrée sur les seuls réseaux sociaux.

Ce que ça change pour les organisations

Pour un DPO ou un RSSI, ce panorama d'un an confirme trois priorités concrètes. D'abord, traiter tout déploiement d'agent IA comme un traitement à risque au sens du RGPD, avec une AIPD dédiée avant mise en production — la recommandation rejoint celle que Leto détaille dans son guide sur la charte IA en entreprise. Ensuite, cloisonner la mémoire des systèmes agentiques par agent et par traitement, plutôt que de laisser circuler librement les données entre agents d'un même système. Enfin, ne pas s'en remettre à un seul acteur pour porter cette gouvernance : le CIANum rejoint ici l'analyse déjà partagée sur la nécessaire répartition collective du risque IA entre DPO, RSSI, juristes et métiers.

Ce que Leto pense de cette décision

Un an après son installation, le CIANum a produit un corpus cohérent et rare dans le paysage français : une instance consultative qui documente, note après note, la même conclusion — l'IA agentique ne casse pas le RGPD, elle en révèle les angles morts. Pour les organisations qui déploient déjà des agents IA sans attendre les lignes directrices européennes, ce bilan vaut check-list : cartographie des traitements, AIPD systématique, cloisonnement de la mémoire, et gouvernance partagée plutôt que sparadrap. Ce sont les bases, pas des options.

Sources : Silicon.fr, « En un an, qu'a produit le Conseil de l'IA et du numérique ? », Conseil national de l'IA et du numérique